El código fuente de la unidad lógica a bordo (OLU) de Mercedes-Benz se filtra en línea

Imagen: Daimler El código fuente de los componentes de "automóviles inteligentes" instalados en las furgonetas Mercedez-Benz se filtró en línea durante el fin de semana, según ha podido saber ZDNet. La filtración se produjo después de que Till Kottmann, un ingeniero de software con sede en Suiza, descubriera un portal web Git perteneciente a Daimler AG, la empresa automotriz alemana detrás de la marca de automóviles Mercedes-Benz. Kottmann le dijo a ZDNet que pudo registrar una cuenta en el portal de alojamiento de códigos de Daimler y luego descargar más de 580 repositorios Git que contienen el código fuente de las unidades lógicas (OLU) integradas instaladas en las furgonetas Mercedez.
Según el sitio web de Daimler, la OLU es un componente que se encuentra entre el hardware y el software del automóvil y "conecta los vehículos a la nube". Daimler dice que la OLU "simplifica el acceso técnico y la administración de los datos del vehículo en vivo" y permite a los desarrolladores externos crear aplicaciones que recuperan datos de las camionetas Mercedes. Estas aplicaciones generalmente se emplean para funciones como rastrear camionetas mientras se encuentra en la carretera, rastrear el estado interno de una camioneta o para congelar camionetas en caso de robo. Kottmann le dijo a ZDNet en una entrevista que encontró que el servidor GitLab de Daimler usaba algo tan simple como Google Dorks (consultas especializadas de búsqueda de Google). GitLab es un paquete de software basado en la web que las empresas utilizan para centralizar el trabajo en los repositorios de Git. Git es un software especializado para realizar un seguimiento de los cambios en el código fuente y permite a los equipos de ingeniería de varias personas escribir código y luego sincronizarlo con un servidor central, en este caso, el portal web basado en GitLab de Daimler.
"A menudo busco instancias interesantes de GitLab, principalmente con simples Google Dorks, cuando estoy aburrido, y me sigue sorprendiendo lo poco que parece pensar en la configuración de seguridad", dijo Kottmann a ZDNet. "Honestamente, fue un hallazgo muy afortunado mientras revisaba algunas marcas que no había verificado antes con la esperanza de encontrarme como pequeños contratistas o algo así". Kottmann dice que Daimler no pudo implementar un proceso de confirmación de cuenta, lo que le permitió registrar una cuenta en el servidor oficial GitLab de la compañía utilizando un correo electrónico corporativo Daimler inexistente.
El investigador dice que descargó más de 580 repositorios Git del servidor de la compañía, que puso a disposición del público durante el fin de semana, cargando los archivos en varios lugares, como el servicio de alojamiento de archivos MEGA, el Archivo de Internet y en su propio servidor GitLab. Imagen: ZDNet Imagen: ZDNet ZDNet ha revisado algunos, no todos, de los repositorios filtrados de Git. Ninguno de los archivos que vimos incluía una licencia de código abierto, lo que sugiere que se trataba de información patentada que no debía hacerse pública.
Los proyectos filtrados incluyeron el código fuente de los componentes OLU de las furgonetas Mercedes, pero también imágenes de Raspberry Pi, imágenes de servidor, componentes internos de Daimler para administrar OLU remotas, documentación interna, muestras de código y más. Si bien la filtración parecía ser inofensiva al principio, la firma de inteligencia de amenazas Under the Breach, que también revisó los datos, le dijo a ZDNet que descubrieron contraseñas y tokens API para los sistemas internos de Daimler. Estas contraseñas y tokens de acceso, en las manos equivocadas, podrían usarse para planificar y montar futuras intrusiones contra la nube y la red interna de Daimler.
Después de que ZDNet y Under the Breach se comunicaran hoy con Daimler, la compañía retiró el servidor GitLab de donde Kottmann descargó los datos. Un portavoz de Daimler no devolvió una solicitud formal de comentarios. Kottmann le dijo a ZDNet que tiene la intención de dejar el código fuente de Daimler en línea hasta que la compañía se comunique para solicitar que lo elimine.
Sin embargo, quedan algunas preguntas sobre la legalidad de las acciones de Kottmann, ya que no intentó notificar a la compañía antes de publicar su código fuente en línea durante el fin de semana. Por otro lado, el servidor GitLab permitió a cualquiera registrar una cuenta, lo que algunos podrían interpretar como un sistema abierto. Además, el código fuente que ZDNet revisó hoy no contenía advertencias de que se trataba de tecnología patentada.
pags VER GALERÍA COMPLETA.